Персональные данные в стоматологии: что проверить собственнику в 2026 году

👤 Автор: Павел Шабанов | 📅 11 ноября 2026 года | ⏱️ Время чтения: 14 мин.

👤 Автор: Павел Шабанов | 📅 11 ноября 2026 года | ⏱️ Время чтения: 14 мин.

Чтобы проверить персональные данные в стоматологии, пройдите весь путь пациента: от формы записи на сайте до медицинского архива, затем отдельно проверьте работников и подрядчиков. Ниже — практический чек-лист собственника: какие документы запросить, что показать на экране и какие нарушения исправлять первыми. Папка с согласиями пригодится. Но одной папкой защиту не построить.

Предлагаемый формат самопроверки, а не исчерпывающий перечень требований закона.

Участок	Что запросить или показать	Что считать проблемой	Кто проверяет
Сайт	Маршрут тестовой заявки, тексты документов, список интеграций	Неизвестно, куда поступают сведения	Разработчик и ответственный за ПДн
МИС	Права пользователей и список активных учётных записей	Общие логины, доступ уволенных	ИТ-специалист и руководитель
Фотографии	Места хранения и основания публикации	Кейсы публикуются по лечебному согласию	Маркетолог и ответственный
Подрядчики	Договоры и фактический доступ	Доступ есть, роль и условия не определены	Руководитель и юрист
Инциденты	Регламент и контакты ответственных	Никто не знает, кто направляет уведомление	Руководитель

Заполните таблицу самопроверки. По каждому ответу «нет» или «не знаю» назначьте ответственного и срок уточнения. Для рабочей версии добавьте столбцы «Да / Нет / Не знаю», «Ответственный», «Срок исправления» — ответ «не знаю» тоже становится задачей.

Какие персональные данные обрабатывает стоматология

Стоматология должна защищать не только медицинские карты, но и любые сведения, по которым можно прямо или косвенно определить пациента, работника либо другого человека. Так устроено определение персональных данных в статье 3 Закона № 152-ФЗ. [ст. 3 № 152-ФЗ]

Контакты, здоровье и изображения

Имя и телефон в заявке — персональные данные; диагноз, аллергологический анамнез и сведения о лечении — специальные категории данных о здоровье. [ст. 10 № 152-ФЗ]

Врачебная тайна шире диагноза: она охватывает сам факт обращения за медицинской помощью и сведения, полученные при обследовании и лечении. [врачебная тайна, Гарант]

Фотография улыбки не становится биометрией автоматически: значение имеет использование изображения для установления личности по физиологическим или биологическим особенностям. [ст. 10 № 152-ФЗ]

Основания вместо универсального согласия

Для договорных действий, исполнения законодательных обязанностей и собственно медицинской обработки могут действовать разные основания по статьям 6 и 10 Закона № 152-ФЗ. [ст. 6 № 152-ФЗ]

Пункт 4 части 2 статьи 10 допускает обработку для диагностики и медицинских услуг при соблюдении условий о профессиональной медицинской деятельности и врачебной тайне. [п. 4 ч. 2 ст. 10 № 152-ФЗ]

Поэтому утверждение «без согласия нельзя даже открыть карту» слишком категорично. Но лечебное основание нельзя автоматически переносить на рекламу, публичные кейсы и любые действия внешнего сервиса. [ч. 1 ст. 9 № 152-ФЗ]

Основание определяется не «для пациента вообще», а для конкретной цели и операции. Возможность обрабатывать сведения для оказания медицинской помощи не означает автоматического разрешения использовать их в рекламе, публиковать кейс или передавать внешнему сервису. Для каждого процесса отдельно проверяют требования 152-ФЗ и режим врачебной тайны.

Уведомление Роскомнадзора и штрафы для стоматологии

Проверьте уведомление Роскомнадзора, актуальность указанных сведений и назначение ответственного — это отдельные задачи, а не последствия подписания согласий. Обязанности закреплены в статьях 22 и 22.1 Закона № 152-ФЗ. [ст. 22, 22.1 № 152-ФЗ]

Реестр и ответственный

Для обычной стоматологии с медицинской информационной системой, сайтом и кадровой обработкой ориентир — уведомление до начала обработки, а не после первой проверки.

Найдите клинику в реестре по ИНН. Сопоставьте запись с реальностью: пациенты, работники, специальные категории, цели, системы и адреса баз данных. Формирование уведомления доступно на официальном портале Роскомнадзора.

Юридическое лицо обязано назначить ответственного за организацию обработки; отдельной универсальной ставки штрафа именно «за отсутствие приказа» статья 13.11 КоАП РФ не содержит. [ст. 13.11 КоАП РФ]

Штрафы для стоматологической клиники: ООО и ИП

Ниже — предусмотренные санкциями диапазоны без индивидуальных обстоятельств назначения наказания. Для ИП правила различаются по составам: считать все штрафы «предпринимательскими» или «корпоративными» неправильно. [ст. 13.11 КоАП РФ]

В таблице приведены санкции для коммерческой организации и индивидуального предпринимателя. Это не означает, что указанный штраф автоматически налагается лично на учредителя клиники.

[ст. 13.11 КоАП РФ]

Штрафы по персональным данным: источник — статья 13.11 КоАП РФ, редакция, доступная на 11.11.2026.

Нарушение	ИП	Коммерческое юридическое лицо
Нет обязательного письменного согласия, первое нарушение — ч. 2	100–300 тыс. руб.	300–700 тыс. руб.
Нет открытого доступа к политике — ч. 3	10–20 тыс. руб.	30–60 тыс. руб.
Не выполнена обязанность уведомить о намерении обрабатывать данные — ч. 10	100–300 тыс. руб.	100–300 тыс. руб.
Нарушена локализация, впервые — ч. 8	1–6 млн руб.	1–6 млн руб.
Не направлено обязательное уведомление об утечке — ч. 11	1–3 млн руб.	1–3 млн руб.
Неправомерно переданы специальные категории — ч. 16	10–15 млн руб.	10–15 млн руб.

Проверено по состоянию на 11 ноября 2026 года.

В части 16 нет порога «от тысячи пациентов»: утечку медицинских сведений нельзя оценивать только количеством пострадавших. [ст. 13.11 КоАП РФ]

При повторности по условиям части 18 возможен штраф 1–3% выручки, минимум 25 млн и максимум 500 млн рублей; для повторных массовых утечек по части 15 минимум другой — 20 млн рублей. [ст. 13.11 КоАП РФ]

Что изменилось относительно 2025 года

Сайт стоматологии: формы записи, согласия и аналитика

Проследите, какие сведения собирает каждая форма и куда они уходят: публичная политика не исправляет незаконный сбор или передачу данных. Закон отдельно регулирует цели обработки, доступность политики, локализацию и трансграничную передачу. [ч. 5 ст. 18 № 152-ФЗ]

Формы записи

Откройте сайт как новый пациент. Отправьте тестовую заявку без реальных медицинских сведений и попросите показать её маршрут: почта, CRM, медицинская система, уведомление администратору.

Для первичного обратного звонка обычно достаточно минимального набора контактов. Не добавляйте обязательные поля с паспортом и подробным анамнезом без необходимости: объём данных должен соответствовать цели. [ст. 5 № 152-ФЗ]

Если основание — согласие, проверьте его текст, отдельное оформление и доказательства получения; ссылка «согласен с политикой» не заменяет автоматически конкретное согласие на обработку. [ч. 1, 3 ст. 9 № 152-ФЗ]

Аналитика, виджеты и базы

Составьте перечень онлайн-записи, чатов, коллтрекинга, аналитики и рекламных пикселей. Запросите у разработчика не обещание «всё российское», а схему обмена и сведения о расположении баз.

Проверьте отдельно два вопроса:

• Какие базы используются при сборе данных граждан РФ и где они находятся. Наличие копии в России само по себе не доказывает соблюдение требований локализации. [ч. 5 ст. 18 № 152-ФЗ]
• Получает ли данные иностранный получатель и выполнены ли требования к трансграничной передаче, включая отдельное уведомление Роскомнадзора, когда оно необходимо.

Российская копия базы сама по себе не закрывает все требования локализации и трансграничной передачи: это разные правовые проверки. [ч. 5 ст. 18 № 152-ФЗ]

Для иностранного получателя оцените статью 12 отдельно. 26 июля 2026 года изменились положения о государствах с адекватной защитой: теперь ключевым становится включение страны в перечень Роскомнадзора, а не только участие в Конвенции Совета Европы. Проверяйте трансграничную передачу по актуальному перечню, а старую памятку подрядчика — по закону № 265-ФЗ. [ст. 12 № 152-ФЗ] [закон № 265-ФЗ от 26.07.2026]

Администратор: запись и согласия

Администратору нужны понятные сценарии записи, проверки получателя информации и оформления документов, а не установка «берите подпись на всякий случай».

Запись и телефонные разговоры

Проверьте рабочую почту, телефонию, записи звонков, бумажный журнал и сообщения. Для каждого инструмента зафиксируйте цель, доступ, срок хранения и основание обработки — эти элементы должны соответствовать фактическому процессу. [ст. 5 № 152-ФЗ]

Дайте сотрудникам готовые ответы: как подтвердить запись, что сказать родственнику и кому передать запрос на медицинские документы. Супруг, который оплачивает лечение, не получает автоматически неограниченный доступ к врачебной тайне. [врачебная тайна, Гарант]

Запретите обсуждать диагноз вслух через всю стойку. Конфиденциальность плохо сочетается с форматом вокзального объявления.

Раздельные документы

Не смешивайте договор, информированное добровольное согласие на вмешательство и согласие на обработку данных: у них разные предметы и правовые задачи. [врачебная тайна, Гарант]

Когда обработка опирается именно на согласие, оформляйте его отдельно от других подписываемых документов по части 1 статьи 9 Закона № 152-ФЗ. [ч. 1 ст. 9 № 152-ФЗ]

Маркетинговые контакты проверьте отдельно: лечебные цели не дают автоматического разрешения отправлять рекламу; прямое продвижение через средства связи регулирует статья 15 этого закона. [ст. 15 № 152-ФЗ]

Как защитить медицинскую систему?

Проверьте персональные учётные записи, разграничение доступа, журналирование, резервное копирование и фактическую возможность восстановить документы. За необходимые организационные и технические меры отвечает оператор, даже когда система облачная. [ч. 1 ст. 19 № 152-ФЗ]

Доступ по рабочей задаче

Попросите показать права администратора, врача, бухгалтера и технической поддержки. Сопоставьте их с обязанностями: доступ должен обслуживать рабочую цель, а не любопытство. [ч. 1, 2 ст. 18.1 № 152-ФЗ]

Общий логин мешает установить, кто выгрузил базу или изменил карту. Для самопроверки выберите одну тестовую запись и выясните, какие действия система позволяет восстановить по журналу.

Проверьте также рентгенологическое ПО, хранилище КТ, сканы, выгрузки и сетевые папки. Медицинская система редко заканчивается одним красивым окном.

Какие документы и подтверждения запросить у ИТ-специалиста

• перечень информационных систем, в которых обрабатываются персональные данные;
• определённый уровень защищённости и обоснование;
• модель угроз безопасности;
• перечень выбранных организационных и технических мер;
• результаты проверки их выполнения.

Требования к защите информационных систем включают определение актуальных угроз и уровня защищённости; состав мер раскрывается в постановлении Правительства № 1119 и приказе ФСТЭК № 21. Собственнику не нужно самостоятельно выбирать средства защиты. Его задача — убедиться, что требования определены, меры реализованы, а результат можно проверить.

Новые правила электронных документов

С 1 сентября 2026 года действует приказ Минздрава № 209н, заменивший приказ № 947н; он регулирует электронный медицинский документооборот при принятии организацией соответствующего решения. [приказ № 209н, remedium.ru]

В нём предусмотрены локальные правила доступа, электронные подписи, резервное копирование, восстановление и сохранение сведений об операциях; обычный PDF в папке не подтверждает выполнение этих требований. [приказ Минздрава № 209н]

Поручите ответственному сверить настройки с официально опубликованным приказом № 209н, а не только с презентацией поставщика. [официальный текст приказа № 209н]

Лечение, фотографии и врачебная тайна

Разделите использование медицинских сведений для лечения и их использование для публикаций: это разные цели с разными основаниями. Общие правила обработки и режим врачебной тайны действуют одновременно. [врачебная тайна, Гарант]

Снимки и клинические кейсы

Проверьте, где лежат фотографии «до и после»: в карте, телефоне врача, папке маркетолога или переписке с агентством. Для каждого места задайте один вопрос: зачем здесь идентифицируемый пациент?

Для публичного кейса оцените согласие на распространение по статье 10.1 Закона № 152-ФЗ и письменное согласие на раскрытие врачебной тайны по статье 13 Закона № 323-ФЗ; лечебный документ сам по себе публикацию не разрешает. [врачебная тайна, Гарант]

Удаление фамилии не гарантирует обезличивания, если пациента можно определить по другим сведениям. [ст. 3 № 152-ФЗ]

Если в публикации используется изображение пациента, дополнительно проверьте соблюдение статьи 152.1 ГК РФ. Согласие на лечение само по себе не разрешает публиковать фотографию человека. Согласуйте конкретные материалы, цели и площадки публикации; отдельно оцените согласие на распространение персональных данных и раскрытие врачебной тайны. [ст. 152.1 ГК РФ]

Передача результатов и обсуждения

Проверьте отправку снимков пациентам, консультации с коллегами и передачу в зуботехническую лабораторию. Для передачи нужны обоснованная цель, необходимый объём и соблюдение конфиденциальности. [ст. 5 № 152-ФЗ]

Рекомендуемая настройка процесса: корпоративный канал, проверка адресата, ограничение доступа и понятный порядок удаления рабочих копий. «Доктору так удобнее» оставьте для выбора инструментов, не для отмены правил.

Учебный пример, не реальный клиентский кейс. Врач передаёт фотографии лечения маркетологу через личный мессенджер. Что проверить: цель передачи, возможность определить пациента, основания доступа маркетолога, согласование публикации, место хранения и удаление рабочих копий. Результат проверки: понятный порядок передачи и публикации вместо неуправляемой переписки.

Хранение медицинских карт и отзыв согласия

Установите сроки по видам документов и правовым основаниям: медицинскую карту нельзя автоматически удалить только потому, что пациент отозвал согласие. Обработка может продолжаться при наличии предусмотренного законом основания. [ч. 5 ст. 21 № 152-ФЗ]

Хранение без бессрочности

Разделите медицинские карты, договоры, бухгалтерские документы, заявки, записи звонков и рекламные контакты. Один срок «для всех персональных данных» не учитывает разные цели и обязательные требования. [ст. 5 № 152-ФЗ]

Для каждой группы внесите в номенклатуру основание срока, начало его исчисления, место хранения и способ уничтожения. Отдельно проверьте бумажный архив: ключи, посетителей, выдачу карт и оставленные на стойке документы.

Электронные медицинские документы по приказу № 209н хранятся не меньше срока соответствующих бумажных документов. [приказ Минздрава № 209н]

Копии, миграция и отзыв

При смене медицинской системы запросите план переноса документов, подписей, метаданных и версий. Сохранение одной выгрузки с фамилиями не заменяет сохранение полноценного электронного архива. [приказ Минздрава № 209н]

Заявление «удалите меня везде» разберите по целям: прекращайте обработку там, где основание отпало, и объясняйте сохранение документов там, где оно требуется законом. [ч. 5 ст. 21 № 152-ФЗ]

Не обещайте мгновенное стирание из резервных копий без проверки технической процедуры.

Работники: отдельный контур защиты

Кадровые данные нужно проверять отдельно от пациентской базы: у них другие цели, получатели и документы. Закон допускает необходимые операции на законодательных и договорных основаниях, но не разрешает собирать любые сведения о работнике. [ст. 6 № 152-ФЗ]

Кадры и медицинские сведения

Проверьте личные дела, зарплатные реестры, документы об образовании, результаты обязательных осмотров и доступ бухгалтерского аутсорсинга.

Работодателю допустимо получать сведения о здоровье в связи с возможностью выполнения трудовой функции, а не ради подробной истории болезней сотрудника. [специальные категории ПДн, consultant.ru]

Для сведений о врачах на сайте разделите обязательное раскрытие по применимым медицинским требованиям и дополнительный рекламный контент. Не превращайте кадровое согласие в разрешение на любую публикацию.

Увольнение и смена роли

Включите в обходной лист отключение медицинской системы, почты, удалённого доступа, телефонии и облачных папок. Назначьте владельца каждого действия.

Попросите продемонстрировать последнее увольнение: когда закрыли доступ и кто это подтвердил. Одновременно архивные кадровые документы нельзя уничтожать просто вслед за блокировкой учётной записи: сроки определяются отдельно. [ст. 5 № 152-ФЗ]

МИС, лаборатория и другие подрядчики: доступ и договоры

Классифицируйте получателей данных и проверьте договоры: передача обработки подрядчику не освобождает клинику от обязанностей оператора. Соответствующие правила закреплены в статье 6 Закона № 152-ФЗ. [ст. 6 № 152-ФЗ]

Договор и реальные полномочия

Начните с поставщика медицинской системы, хостинга, телефонии, лаборатории, бухгалтерии и маркетингового агентства.

Если подрядчик действует по поручению клиники, проверьте перечни данных и операций, цели, конфиденциальность, требования защиты, подтверждение мер и уведомление об инцидентах по части 3 статьи 6. [ч. 3 ст. 6 № 152-ФЗ]

Не называйте всех получателей «обработчиками по поручению»: самостоятельная медицинская организация может иметь собственные цели и основания. Роль определяется процессом, а не названием приложения к договору. [ч. 3 ст. 6 № 152-ФЗ]

Судебный ориентир 2026 года

21 января 2026 года Верховный Суд оставил в силе штраф Минтруду по делу № 5-АД25-119-К2; утечка затронула сведения работников и родственников, а довод о доступе через инфраструктуру подрядчика не освободил оператора от ответственности. [Постановление ВС РФ]

Штраф составил 100 тыс. рублей по норме, действовавшей для обстоятельств 2023 года: переносить эту сумму на медицинскую утечку 2026 года нельзя. [Постановление ВС РФ] [ст. 13.11 КоАП РФ]

Утечка данных: что сделать за 24 и 72 часа

При установленной неправомерной или случайной передаче данных или предоставлении к ним неправомерного доступа, нарушивших права людей, уведомление РКН нужно направить в течение 24 часов, результаты внутреннего расследования — в течение 72 часов. Оба срока отсчитываются от выявления инцидента, а не последовательно. [ч. 3.1 ст. 21 № 152-ФЗ]

Действия без ожидания директора

Подготовьте короткий регламент: кто принимает сообщение, кто ограничивает доступ, кто сохраняет журналы и кто направляет уведомления.

Не ждите окончательной оценки всех последствий для первого сообщения: закон предусматривает первоначальные сведения о предполагаемых причинах, вреде и принятых мерах. Об инциденте могут сообщить не только сотрудники клиники, — например, партнёры или сами пациенты.

Не считайте началом срока дату доклада директору или завершения расследования. Зафиксируйте обстоятельства выявления инцидента и немедленно передайте информацию ответственному. [ч. 3.1 ст. 21 № 152-ФЗ]

Неуведомление при наличии обязанности — отдельный состав со штрафом 1–3 млн рублей для коммерческой организации и ИП. [ст. 13.11 КоАП РФ]

Учебный инцидент

Разыграйте сценарий: администратор отправил план лечения другому пациенту. Зафиксируйте обнаружение, остановку дальнейшего доступа, сохранение доказательств и юридическую оценку обязанности уведомления.

Проверьте контакт на официальном ресурсе Роскомнадзора и назначьте заместителя ответственного. На учениях ошибаться дешевле.

Как провести самопроверку собственнику?

Проверяйте процесс по доказательствам: документ, настройка системы и действие сотрудника должны подтверждать друг друга.

Чек-лист по маршруту пациента

1. Составьте карту данных. Отметь сайт, администратора, медицинскую систему, лечение, внешние передачи и архив; добавь работников и подрядчиков.
2. Сверьте уведомление РКН. Проверь оператора, цели, категории людей, специальные данные и фактические базы.
3. Протестируйте сайт. Покажите маршрут заявки, тексты согласий, политику и подключённые сервисы.
4. Проверьте администратора. Разберите запись, звонки, передачу результатов, обращения родственников и подтверждение получателя.
5. Откройте настройки системы. Проверь роли, персональные учётные записи, выгрузки, журналы и восстановление резервной копии.
6. Просмотрите медицинские процессы. Найдите фотографии, КТ, лабораторные передачи, консультации и публикации кейсов.
7. Разберите архив. Установите сроки, основания хранения, доступ, уничтожение и порядок рассмотрения отзывов согласия.
8. Проверьте кадровый контур. Проследите приём, изменение должности, передачу бухгалтерии и последнее увольнение.
9. Сопоставьте подрядчиков с договорами. Уточните роли, размещение баз, удалённый доступ и порядок сообщения об инцидентах.
10. Назначьте исправления. Для каждого замечания укажите риск, владельца, срок и доказательство устранения.

Приоритеты и отраслевой аудит

Сначала закрывайте открытые медицинские сведения, неизвестные выгрузки и действующие доступы уволенных. Затем разбирайте основания обработки, согласия, уведомления и договоры. После — доводите регламенты и контроль.

Нужна независимая проверка? Отраслевой аудит стоматологии — это проверка маршрута данных, по итогам которой вы получаете карту движения данных, список выявленных несоответствий с правовыми основаниями и план исправлений: что сделать, кому поручить и чем подтвердить результат.

Итог

Самопроверку собственник может организовать самостоятельно, если команда готова показывать реальные процессы. Юридическую квалификацию медицинских передач, сложные интеграции и техническую защиту разумно проверять со специалистами. Подрядчик полезен там, где оставляет проверяемый результат: замечание, приоритет, способ исправления. Гарантия «штрафов не будет» таким результатом не считается.

Часто задаваемые вопросы

Для 152-ФЗ в стоматологии важны не количество кабинетов и цена программного обеспечения, а цели, основания и безопасность фактической обработки. Общие обязанности оператора установлены Законом № 152-ФЗ. [закон № 152-ФЗ]

Нужны ли согласия всем пациентам?

Не для каждой операции: основание определяется для конкретной цели и операции. Для медицинской обработки предусмотрено специальное основание — пункт 4 части 2 статьи 10 № 152-ФЗ. [п. 4 ч. 2 ст. 10 № 152-ФЗ] Маркетинг, распространение сведений и другие цели оцениваются отдельно: статья 15 и часть 1 статьи 10.1. [ст. 15 № 152-ФЗ] [ч. 1 ст. 10.1 № 152-ФЗ] Проверьте цель каждого процесса, прежде чем отказываться от согласий или требовать их «на всё».

Нужна ли политика маленькой стоматологии?

Да, размер не отменяет обязанность. Закон требует открытого доступа к политике, а при интернет-сборе — её публикации на соответствующих страницах сайта. [ч. 1, 2 ст. 18.1 № 152-ФЗ]

Можно ли передавать снимки лаборатории?

Передача снимков лаборатории требует проверки правового основания, роли получателя и соблюдения врачебной тайны. Сначала определите, какие сведения нужны лаборатории, может ли она идентифицировать пациента и действует ли она по поручению клиники либо как самостоятельный оператор. [врачебная тайна, Гарант]

Нужно ли удалять карту после отзыва?

Не автоматически. Отзыв согласия не прекращает обработку, для которой сохраняется самостоятельное законное основание. [ч. 5 ст. 21 № 152-ФЗ]

Освобождает ли облачная система от ответственности?

Нет. Клиника сохраняет обязанности оператора; договор с поставщиком не заменяет собственный контроль. [ч. 1 ст. 19 № 152-ФЗ]

Может ли стоматолог-ИП получить штраф 10–15 млн рублей за утечку данных о здоровье?

Да, 10–15 млн рублей по части 16. Для этого состава ИП несёт ответственность как юридическое лицо. [ст. 13.11 КоАП РФ]